论文笔记—假名—Pseudonym Changing at Social Spots: An Effective Strategy for Location Privacy in VANETs

Pseudonym Changing at Social Spots: An Effective Strategy for Location Privacy in VANETs

文献翻译

假名在社交场所的变化：VANET中位置隐私的有效策略

注：部分公式的推导可以移步原文进行查看，笔记中只给出了结果

一、摘要

作为车载自组织网络（VANET）隐私质量的主要目标，位置隐私对于VANET的全面发展至关重要。尽管频繁更改假名为VANET中的位置隐私提供了一个有前途的解决方案，但是如果在不恰当的时间或位置中更改假名，则这种解决方案可能会失效。为了解决这个问题，在本文中，我们提出了一种有效的在社交场所的假名更改（PCS）策略以实现可证明的位置隐私的策略。特别是，我们首先介绍一些社交场所，在该社交场所可能会有几辆车聚集，例如，交通信号灯变红时的路口或购物中心附近的免费停车场。通过将匿名集大小作为位置隐私度量，我们开发了两个匿名集分析模型来定量研究PCS策略实现的位置隐私。此外，我们使用博弈论技术来证明PCS策略在实践中的可行性。进行了广泛的性能评估，以证明当车辆在某些高度社交场合更改其假名时，可以实现更好的位置隐私，并且所提出的PCS策略可以帮助车辆在正确的时间和地点智能地更改其假名。

二、索引词

索引词——位置隐私，安全性，社交场所，车载自组织网络（VANETs）

1.VANETs

• Vehicular ad-hoc network，缩写为VANET
• 车载随意移动网络；车载自组织网络
• 车载自组织网络是专用移动自组织网络中研究和应用最活跃的领域之一，它是构建智能交通系统的主要载体，同时也是建设“信息地球”、“智慧城市”的重要组成部分
• 车载自组织网络（VANETs）简称车载自组网，它是一种将网络节点建立在汽车和道路基础设施上的分布式、动态变化的自组织通信网络。其基本原理是运用车载传感器和GPS卫星定位系统，借助蜂窝移动通信网络、无线广域网（WLAN）等无线通信技术，将车辆状态、性能、地理位置、路况等信息集中、转发和使用，提高道路交通效率与驾驶安全性、舒适性

车载自组网(VANET)通信模型分析
VANET-百度百科

三、目录

四、各部分简述

I.引言

以下皆在VANETs中

---

车载单元（OBU）→ 车对车（V2V）通信，车对路（V2R）通信
↓
安全性与非安全性的各种应用设备（例：传感器和GPS检测道路坑洼→通知修复、分发警报）
↓
改善道路安全性与驾驶体验

---

隐私的质量（QoP）之一：位置隐私
保证位置隐私 → VANETs被公众广泛接受的必要条件
↓
车辆在广播安全消息（包括时间，位置，速度，内容）时定期更改其假名，通过与签名对应的假名进行身份验证
一车辆在道路上使用不同的假名，因此假名的不可链接性可以保证车辆的位置隐私
↓
如果车辆在不适当的情况下更改了其假名，则更改假名就无法保护位置隐私，因为敌人仍然可以通过各种线索将新的假名与旧的假名链接起来
↓
必须要通过频繁更改VANETs中的假名来实现位置隐私的准确性

---

敌人可以通过监视假名更改过程中的一些因素，例如时间、位置、速度来识别车辆更改假名的过程
为了高质量地保护位置隐私，车辆应该选择合适的场景，而同时要进行尽可能多的难以辨认的PC过程

---

提出了一种有效的在社交场所假名更改（PCS）策略
在PCS策略中，社交场所是几辆车临时聚集的地方，例如，交通信号灯变红的道路交叉口或购物中心附近的免费停车场
如果所有车辆在离开现场之前都更改了其假名，则广播的第一条安全消息将包括无法区分的信息，位置=社交场所，速度= 0，以及不可链接的假名。 然后，社交场所自然成为混合区域，并且可以实现位置隐私。

---

本文三部分贡献有：
1）利用社交场所的独特特征；密钥隔离的假名自授权（KPSD）模型：安全地生成几个按需的短寿命密钥，并可以减轻车辆盗窃造成的危害
2）匿名集大小（ASS） 作为隐私度量（ASS越大，实现的匿名度越高）以 衡量PCS策略中实现的隐私质量（QoP）
3）简化的博弈论技术来正式证明PCS策略的可行性 → PCS策略可以真正指导车辆智能地更改其假名，以在适当的时间和地点获得更好的位置隐私

II.问题定义

A.网络模型

V2V

• 车辆：每辆车都配备有一个OBU设备，该设备可以使该车与其他车辆通信以共享本地交通信息
• 社交场所：几辆车聚集的地方（交通灯为红色时的路口或购物中心附近的免费停车场）
    —小型社交场所：红色交通灯通常很短（即30或60 s）
    —大型社交场所：车辆会长时间停在停车场

★ 由于社交场所通常拥有许多车辆，因此如果所有车辆都无法区别地更改其假名，则社交场所自然会成为混合区域

B.威胁模型

• 一旦车辆在道路上行驶，车辆上配备的OBU设备就无法关闭
• 窃听者可以通过OBU广播的安全消息来一直监视特定车辆的位置信息
• 一个全局外部敌人A，该对手配备了无线电设备，可以追踪车辆的位置
    —全局：某些特殊的窃听基础设施来监视和收集网络中的所有安全消息；主要以时间，位置和速度方面跟踪车辆 。
    —外部：被动地窃听通信，而不能主动地试图破坏正在行驶的车辆

★基于摄像机的全局窃听的成本过高超出了本文的范围

C.位置隐私要求

为了抵制全局外部对手的跟踪并在VANETs中达到位置隐私，必须满足以下要求

1. 每辆车都应使用假名代替真实身份来广播信息
2. 每辆车还应定期，在适当的时间和位置，更改其假名，以减少前者和后者位置之间的关系
3. 如果广播安全消息有争议，则可信任的授权人（TA）可以公开真实身份

III. 提出了在社交场所改变假名的位置隐私策略

在社交场所的假名更改（PCS）

A.用于PCS策略的KPSD模型

解决车辆需拥有一定数量的假名的问题：

• 有缺陷的方案：

1. 车辆上配备的OBU设备拥有大量由TA授权的匿名短时密钥 → 这些短时密钥存储在OBU设备中可能需要很大的存储空间
2. GSIS 是一种基于组签名（GSB）的技术，无需假名更改（PC）就可以实现有条件的位置隐私 → 通常很耗时，可能不适合某些时间紧迫的VANET应用程序
3. 有效的有条件隐私保护（ECPP）：
     匿名身份验证技术：组签名+普通签名
     ↓
     在ECPP中，当合法车辆通过RSU时，RSU将向车辆授权一个GSB短寿命匿名证书
     车辆可以使用它通过普通的签名技术来签名消息
     收到签名的消息后，任何人都可以通过检查匿名证书和消息签名来验证消息的真实性
     任何验证者仅需对证书执行一组签名验证操作
     ↓
     比GSIS更有效，短寿命匿名证书是由车辆本身生成的，无法处理车辆被盗的情况所带来的危害
     ↓
     实用的KPSD模型

• 密钥隔离的假名自授权（KPSD）模型
  

1. TA不会直接将授权的匿名密钥预加载到车辆上。 而是将授权的匿名密钥提供给用户-车辆的所有者
2. 用户通常将授权的匿名密钥存储在一个安全的环境中，即在家中。 当他/她准备出门旅行，例如，加足汽油时，他/她首先会生成所需的自授权短寿命密钥，并将其安装在OBU设备中
3. 当汽车在城市中行驶时，这些短寿命可以用来签名消息
4. KPSD模型中的授权匿名密钥未存储在车辆中，盗贼不能生成更多的短寿命密钥，在KPSD模型中由于车辆被盗造成的危险可以减轻

---

使用双线性配对技术[23]构建有效的KPSD方案，该方案用作PCS策略的基础

1）构造

基于Boneh–Boyen短签名和条件隐私保护认证技术

系统初始化


密钥生成

假名自授权生成


有条件的追踪

2）安全

∵ 短签名和条件隐私保护认证[5]都是安全的
∴ KPSD方案可以有效地实现带条件跟踪的匿名认证，以满足位置隐私的要求
∵ ASK_i被存储在安全的环境中，是隔离的
    ∵ 盗车者就无法从被盗车辆中获取ASK_i
    ∴ 不能任意生成新的自授权短寿命密钥
∴ KPSD方案可以减轻由于车辆被盗造成的危害

3）表现

在VANETs中，对于车辆来说，在严格的时间内(例如在300ms内)验证太多的签名消息是一个非常具有挑战性的问题


如图所示，当n很大，所提出的匿名认证比纯GSB匿名认证有效的多。
 

B.实现位置隐私匿名集分析

注：所有车辆都更改其假名的假设下进行

KPSD方案，每辆车在道路上可以持有多个假名； 然后，可以应用PCS策略来保护其位置隐私
情况1：小型社交场所
车辆在红灯亮的时候停在马路交叉路口，当绿灯亮，车辆更改假名。
情况2：大型社交场所
车辆在停在购物中心附近的停车场，当离开停车场时，车辆更改假名。

---

两个匿名集分析模型，衡量PCS策略的好处

1）小社交场所匿名集分析

• 设S_a为在十字路口停车的车辆数量
• 我们将获得预期的ASS=S_a
      ASS越大，在小型社交场所提供的匿名性就越大
• T_s=t，其中t = 30，60 s，是特定道路交叉口的固定停车时间段
• 令交叉路口的到达车辆（VA）为泊松过程，t_a为VA的到达间隔时间，其中t_a有平均值为1 /λ指数分布
• 令X为在时间段T_s到达道路交叉口的车辆的随机变量
• 在T_s=t期间X=x的概率可以被表示为
  
  并且X的预期的数字可以计算为
  
• 情况1：所有车辆在红绿灯变成绿色后离开交叉口，所有车辆都遵循PCS策略
  
• 情况2：部分等待车辆在红绿灯变绿后才能离开交叉口，部分车辆有等待下一个绿灯
               等待车辆N_v的数量可以看作是交叉口下一个匿名集大小的初始值
    

2）大社交场所匿名集分析

• 设S_a为要准备离开的停车场中的车辆数
• ASS=S_a
• T_s：从购物中心的开放时间到PC 之后车辆V的离开时间的时间段
  

---

• 其他车辆则根据驾驶员的意愿进入或离开停车场
• 设停车场的车辆到达（VA）为泊松过程
• t_a为为VA的到达间隔时间，具有平均值为1 /λ的指数分布
• 假设车辆到达停车场的时间与离开的时间之间的时间间隔t_u具有密度函数f_u(·)均值1 /ω和拉普拉斯变换f_u^*(s)
• 令X为在时间段T_s期间到达停车场的车辆的随机变量
• 在T_s=t期间X=x的概率可以被表示为
  
  对于t≥0，有
  
                     
  X的预期的数字可以计算为
  

---

• 情况1：在T_s期间，几辆车辆可能在V离开之前离开停车场
  假设Y是在V之前离开停车场的车辆数
  
  
• 情况2：在T_s期间，其他在V后离开的车辆
  
  
                         
  综合以上两种情况，预期的Y的数量为
  
  假定t_u也遵循指数分布
  
  
      

C.PCS策略的可行性分析

使用简化的博弈论技术来展示PCS策略的可行性，即，我们证明每辆车确实愿意在社交场所更改假名以在实践中实现其位置隐私

• 设在社交场所的ASS为N = n +1，其中n≥0，这可以通过上述匿名集分析来估计

• 在社交场所，每个车辆V_j，1≤j≤N具有以下两种可能的作用：
  1）更改（C）假名的概率为p_j
  2）保留（K）假名概率为1-p_j

• 1）更改（C）假名
  如果其他车辆也采取相同的操作，则ASS将变为S
  在此社交场所之后，V_j仍然仅以概率为1/S的可能性被跟踪
  V_j位置隐私的损失减少到-d_j/S，令c_j∈(0,1)为V_j更改假名的标准化成本，此操作的收益为-(d_j/S)-c_j

• 2）保留（K）假名
  V_j仍将以概率为1的可能性被跟踪
  V_j的位置隐私损失不变，并且此操作的收益是标准化的位置隐私损失 -d_j，d_j∈(0,1)，是V_j对位置隐私重要性的自我评估

• 对于除V_j以外的所有车辆，令p_m为所有概率中的最小值{ p_i丨1≤ i ≤ N，i ≠ j }。
  当V_j准备在社交场所更改其假名时，它可以估计平均匿名集的下界为
  
  因此， 车辆V_j的收益函数可以概括为
  
  由于车辆V_j是合理的并且其目标是保护其位置隐私，因此V_j在社交场所更改其假名的条件是
  （23）

• 通过采用的KPSD方案，所有车辆都可以自行生成和管理其假名，并且可以在旅行前生成足够的假名；那么，更改假名的成本可能会非常低

• 当np_m=0时，（23）不成立 → 当不存在改变其假名的相邻车辆时，V_j也不改变其假名
  当np_m＞0时，V_i总是可以减少成本c_j，使得c_j＜( np_md_j / np_m + 1)
  然后，V_j可以在社交场所积极的更改假名

• 我们定义每一个车辆V_j的 位置隐私增益（LPG）函数为
  

• 根据p_m，LPG_j是一个递增的函数
  当p_m=1时，即所有车辆在社交场所更改假名，LPG_j可以达到其最大增益 ( n/n+1 ) · d_j
  因为每辆车都有合理的理由来最大化其LPG，所以当所有车辆都更改其假名时，将是双赢的情况

• 结果显示了PCS策略在实践中的可行性。

IV. 性能评估

• 进行了广泛的模拟，以展示不同参数对ASS和LPG的性能指标的影响
• 模拟基于C ++编码的离散事件模拟器，针对以下两种情况在 表I 中列出了模拟参数：1）小社交场所； 2）大社交场所
• 对于每种情况，+使用不同的随机种子，并以95％的置信区间计算平均值进行了100次重复的模拟
• 将模拟结果（表示为Sim）与数值结果（表示为Ana）进行比较， 以验证所开发的分析模型

小型社交场所

验证在一个小型社交场所（即交通信号灯变红时的路口）所达到的位置隐私级别
T_s=30s ： 低流量交通路口
T_s=60s ： 高流量交通路口

• 图8显示了ASS和LPG与1 /λ的关系，从2 s到10 s变化，以2s为间隔
• ASS和LPG随1 /λ的增加而减小
  对于较大的1 /λ，当交通信号灯为红色时，较少的车辆在道路交叉路口行驶，这导致聚集在交叉路口的车辆数量减少
  导致较小的ASS和较低的LPG
• 较大的T_s对ASS和LPG也有积极影响
• 为了达到较高的位置隐私级别，路口大且交通流量大的路口对车辆是一个不错的选择，这符合我们的常识

大型社交场所

验证在一个大型社交场所（即购物中心附近提供免费停车场）所达到的位置隐私级别

• 图9显示了1 /ω对ASS和LPG的性能指标的影响，参数化为1 /μ= 4 h
• 随着1 /ω的增加，ASS和LPG也会增加
  1 /ω越大，车辆停放在停车场的情况会更多
• 较小的1 /λ可实现较大的ASS和较高的LPG
• 当车辆在繁华的购物中心（1 /λ小且1 /ω大）附近的停车场中更改其假名时，可以确保较高的位置隐私级别
• 在图中，还表明模拟和分析结果非常匹配，这证明了分析模型的准确性

• 图10显示了参数1 /μ对ASS和LPG的影响
• 除了前两个小时外，随着1 /μ的增加，ASS和LPG都平稳地增加
• 结果表明，无论是在早晨还是下午，车辆都可以在白天大部分时间更改其假名，以在较大的社交场所获得更好的位置隐私
• 在图中，模拟与分析结果之间的差距很小，如果进行大量模拟运行，则可以进一步减小

V. 相关工作

保护车辆的位置隐私的方法

1）先前的

介绍	研究者	详情
上下文混合	Gerlach	仅当车辆检测到k个车辆在混淆半径中具有相似方向时，该车辆才会永久性地评估其邻域并更改其假名 应该进一步研究如何检测附近的k辆车辆以及如何确保相邻车辆做出类似反应
两个以用户为中心的位置跟踪缓解方案，称为swing和swap	Li等	swing可以通过在更改速度时使节点宽松地同步更新来增加位置隐私 swap可以使车辆交换标识符以潜在地最大化每次更新提供的位置隐私
定义一个模型来研究更改假名的有效性	Butyan等	在模型中描述了对手的跟踪策略， 并引入一个度量来量化车辆所享有的位置隐私级别 使用广泛的模拟来研究对手模型的强度与通过更改假名而获得的隐私级别之间的关系
模拟评估了提出的混合系统的有效性	Freudiger等	使用密码技术在道路交叉口创建混合区域，将这些混合区域合并到车辆混合网络中，然后利用车辆的移动性和道路交叉口的动态性来混合车辆标识 使用组合优化技术分析了混合区域的最佳放置，并表明最佳混合区域的放置在全部署方案中表现相对较好，可指导VANETs中混合区域的放置

2）PCS策略

• 建议车辆在社交场所（作为混合区域）更改假名以最大化位置隐私并从理论上分析实现的位置隐私
• 由于社交场所的特性，并且同时，由于KPSD模型可以为每辆车提供足够的安全假名以进行更改，因此社交场所本质上是混合区域，以实现更好的位置隐私

匿名集的大小和匿名集的熵

VANETs中位置隐私的定量测量方法

1）先前的

• 根据Beresford和Stajano
  

2）PCS策略

• 采用ASS作为度量标准
• 着重于开发匿名集分析模型来研究位置隐私级别

博弈论技术

1）先前的

• Freudiger等观察到，利己的移动节点可能无法在混合区域中更改假名方面进行协作，并且会危害所获得的位置隐私
• 所以使用博弈论技术来分析移动节点的非合作行为

2）PCS策略

• 还使用博弈论来分析可行性
• 因为采用的KPSD方案为每个车辆提供了足够的假名，所以每个车辆都愿意在社交场所更改其假名以获得更好的位置隐私
• 结果，易于分析可行性

VI. 结论

总结

• 提出了一种有效的PCS策略，用于VANETs中的位置隐私
• 根据ASS开发了两个匿名集分析模型，以正式分析所达到的位置隐私级别
• 使用博弈论技术证明了其可行性
• 引入了实用的KPSD模型来减轻车辆盗窃造成的危害
• 关于 社交场所位置隐私的分析模型 为评估VANETs中已实现的位置隐私研究提供了启示

展望

• 进行更多实验以验证PCS策略在实践中的有效性
• 考虑可以利用更多的特征因素来跟踪车辆的敌人，并在这样一个更强的威胁模型下探索新的位置隐私增强技术

注：以上仅代表个人理解